VulDB: Microsoft Excel File Handling Codeausführung
Allgemein
scipID: 3552
Betroffen: Microsoft Excel bis 2003
Veröffentlicht: 16.01.2008 (Microsoft)
Risiko: 
sehr kritisch
Beschreibung
Microsoft Excel ist ein Tabellenkalkulationsprogramm. Es ist heute die meistverbreitete Software für Tabellenkalkulation. Excel gehört zur Microsoft-Office-Suite und ist sowohl für Microsoft Windows als auch für Mac OS verfügbar. Excel entstand als Nachfolger von Microsoft Multiplan. Die aktuell verfügbare Version ist für Windows Microsoft Excel 2007 (seit 30. November 2006 für Firmenkunden bzw. seit 30. Januar 2007 für Endverbraucher) sowie für Mac OS Microsoft Excel 2004 (seit Juni 2004). Durch eine Schwachstelle, die bereits vorgängig als 0-Day ausgenutzt wurde, kann durch eine manipulierte XLS Datei beliebiger Schadcode zur Ausführung gebracht werden, wie Microsoft unlängst in einem Technet Advisory bestätigte. Der Fehler passiert dabei bei der Verarbeitung speziell manipulierter Header Daten beim Laden der Datei.
Da diese Schwachstelle bereits aktiv ausgenutzt wird, gilt hier höchste Alarmstufe. Durch die hohe Integration von Excel auf Windowssystemen, ist eine Kompromittierung relativ einfach zu erreichen und durchaus als kritisch anzusehen. Der freigegebene Patch sollte daher baldmöglichst eingespielt werden, um weitreichende Konsequenzen zu vermeiden.
Exploiting
Klasse: Pufferüberlauf
Lokal: Ja
Remote: Ja
Exploit: –
Milw0rm: –
Nessus: –
ATK: –
Gegenmassnahmen
Status: Hersteller arbeitet an einer Lösung.
Bestätigung: http://www.microsoft.com/technet/security/advisory/947563.mspx
Massnahme: Die betroffene Funktion deaktivieren.
Link: http://www.microsoft.com/technet/security/advisory/947563.mspx
Snort: –
Pattern: –
Quellen
Advisory: http://www.microsoft.com/technet/security/advisory/947563.mspx
CVE: CVE-2008-0081
OSVDB: –
Securityfocus: 27305
Secunia: 28506
X-Force: 39699
Securitytracker: 1019200
VUPEN: ADV-2008-0846
Securiteam: –
Tecchannel: –
Heise: –
smSS: smSS 19. Januar 2008
Buchtipp: Marc Ruef (2007), Die Kunst des Penetration Testing, C&L Verlag, ISBN 3936546495 (amazon.de)
